David hat als erstes endlich unseren Mumble Status aufgebohrt. Man braucht die Seite jetzt nicht immer neu zu laden um zu sehen, wer gerade online und verfügbar ist. Das geschieht jetzt per JavaScript automatisch.

Und sonst so?

Im Hintergrund wurde natürlich auch fleißig gearbeitet. Viele Erweiterungen von Tristan haben ein neues Zuhause bekommen. Einige sind auch direkt bei uns gelandet. Das hat einige Zeit gekostet das neu zu organisieren. Auf Github kann man sehen, was da alles passiert ist.

Christian Schiffler ist fleißig dabei, noch einige Seiten und Dienste von uns auf den neuen Server von Netcup umzuziehen. Gleichzeitig arbeitet er unermüdlich an der Weiterentwicklung der neuen Paketverwaltung von Contao (aka Composer). Dort ist noch einiges zu tun, und auf der Contao-Konferenz 2015 wird einiges zu sehen sein (wie ist der Stand? Wohin soll es gehen?).

Aussicht

Weit in die Zukunft wollen wir erst einmal nicht blicken. Das wichtigste Ereignis ist natürlich die Contao Konferenz!

Wir freuen uns schon sehr auf das jährliches Contao Highlight. Gearbeitet wird auch fleißig an den Programmpunkten, die unsere Mitglieder halten werden:

• Warum eigentlich ständig dieser Composer?
• Metamodels 2.0 für Einsteiger
• Best Practice - Contao Theme Erstellung
• Responsive Images in der Anwendung
• Kommunikation mit Entwicklern
• Workflow Management mit Contao
• Code Quality - We have declared war on Error!
• Up and running: Contao zuverlässig betreiben

Zusätzlich zu dem Programm werden wir natürlich wie immer gerne mit allen Besuchern der Konferenz fachsimpeln und diskutieren. Auch wenn Ihr Fragen zur CCA habt, sprecht uns einfach an!

Alle Vorträge der Konferenz 2015

Als Internet Service Provider für Unternehmen und Privatpersonen betreut die netcup GmbH mittlerweile über 24.000 zufriedene Kunden weltweit. Die besonderen Kompetenzen der netcup GmbH liegen in der Bereitstellung von Webhostingaccounts und Servern sowie deren Betreuung durch Management-Dienstleistungen.

Die netcup GmbH geht am 20. November 2008 aus der am 01. Januar 2007 gegründeten Preuß und Werner GbR hervor. Hiervor wurde netcup.de fünf Jahre als Einzelunternehmen von Dipl.-Ing. (BA) Felix Preuß geführt. Hinter der netcup GmbH steckt somit eine langjährige Tradition, die von der netcup GmbH auch in der Zukunft fortgeführt werden wird.

Die Marke netcup kann sich von Beginn an einen Namen für höchste Qualität machen. Die Qualität wird von vielen positiven Kundenmeinungen, die im Internet verbreitet sind, sowie von unabhängigen nachweislichen Tests bestätigt. Diese Qualität wird dank der Geschäftsgrundsätze, die von den Machern netcups strengstens eingehalten werden, seit über sieben Jahren aufrecht erhalten.

Quelle: https://www.netcup.de/ueber-netcup/

Der Composer Check funktioniert tadellos und auch Contao lässt sich damit installieren.

Die Installation mit dem Install Tool funktioniert reibungslos (ich denke das kennt ihr, daher spare ich mir hier die Screenshots). Zu beachten ist aber, dass ihr beim Datenbankserver eine andere IP eingeben müsst, die findet ihr im Webhosting-Panel:

Das Standard M Paket verfügt bereits über 1GB Festplatten- und 128M Arbeitsspeicher, da sollte sich durchaus was machen lassen. Deshalb werde ich im folgenden direkt Testläufe mit großen Erweiterungen machen. Kleinere Erweiterungen sollten sich immer installieren lassen, allerdings lässt sich hier keine Pauschalaussage treffen, da der Ressourcenverbrauch von Composer abhängig von den Kombinationen an installierten Erweiterungen sehr stark schwanken kann.

Die Installation des Composer Client aus dem ER2 läuft erst mal reibungslos, ...

... nach der Migration kommt es allerdings erst mal zu einem "Internal Server Error", dieser wird vermutlich durch eine Exception ausgelöst, die unser composer-plugin erzeugt.

Das ist also völlig in Ordnung und weitestgehend ungefährlich!

Ich hab allerdings keinen Zugriff auf die Server Logs und kann deshalb nicht genau sagen, ob der Internal Server Error wirklich von unserem Plugin verursacht wird, ich gehe aber stark davon aus.

Nach einem Reload der Seite und einem erneuten "Pakete aktualisieren" ist allerdings alles in Ordnung!

Der Modus während der aktuellen HTTP-Anfrage läuft ohne Probleme.

Für die Modi als Unterprozess des aktuellen Webserverprozesses und als eigenständiger Prozess muss allerdings der PHP-Pfad/Befehl angepasst werden. Dort muss /usr/bin/env php durch /usr/local/php54/bin/php ersetzt werden.

Hinweis: Es können auch neuere PHP Version verwendet werden, ich würde aber grundsätz empfehlen bei der Version zu bleiben, mit der auch das Webhosting betrieben wird um Konflikte zu vermeiden. Das kleine Hosting wird aktuell mit PHP 5.4 betrieben, bei den Expert Paketen kann man die Version ändern und sollte dann auch hier die passende Version auswählen. Um eine andere Version zu verwenden muss /usr/local/php55/bin/php oder /usr/local/php56/bin/php eingetragen werden.

Ich werde die Installation zuerst im Modus während der aktuellen HTTP-Anfrage durchführen, um die Limits zu testen.

Die Installation der COD läuft ohne Probleme. Ich musste für die 3.2 zwar erst mal das SQL anpassen, aber danach ließ sich das COD Template auch importieren (die COD ist eigentlich für 3.3+ gebaut).

Testlauf: erfolgreich
Pakete aktualisieren: fehlgeschlagen

Die Installation von MetaModels hat scheinbar schon das Memory Limit gesprengt.
Ich musste die Module aus system/modules von Hand löschen und MetaModels erst mal wieder entfernt um die Installation zu retten.

Testlauf: erfolgreich
Pakete aktualisieren: fehlgeschlagen

Auch die Installation von Avisota 2 hat scheinbar das Memory Limit gesprengt.
Auch hier musste ich Hand anlegen um die Installation zu retten.

Testlauf: erfolgreich
Pakete aktualisieren: erfolgreich

Isotope lässt sich entgegen MetaModels und Avisota 2 erfolgreich installieren. Das liegt vermutlich daran, dass Isotope bei weitem nicht so viele Abhängigkeiten hat. Isotope besteht halt aus einem Großprojekt, während MetaModels und Avisota 2 in Komponenten zerlegt sind.

Die Installation im Modus als eigenständiger Prozess sollte helfen die Limits zu umgehen. Zusätzlich habe ich das Profiling aktiviert, um genauer Auskunft über die verbrauchten Ressourcen zu bekommen.

Testlauf: erfolgreich, Memory usage: 59.8MB (peak: 80.93MB), time: 2.59s
Pakete aktualisieren: erfolgreich, Memory usage: 61.66MB (peak: 82.88MB), time: 29.42s

Beim Update muss man etwas Geduld bewahren, in den 30 Sekunden war die Installation für ca. 20 Sekunden "tot", weil Composer im Hintergrund am aktualisieren war. Auch die Log-Ausgabe wurde angehalten. Bei der Deinstallation war übrigens das gleiche Spiel. Also einfach mal warten und nicht in Panik geraten.

Testlauf: erfolgreich, Memory usage: 76.62MB (peak: 126.1MB), time: 6.01s
Pakete aktualisieren: erfolgreich, Memory usage: 78.64MB (peak: 129.44MB), time: 112.03s

Hier das gleiche Spiel wie bei MetaModels, die Log-Ausgabe hält irgendwann an und man muss hier einfach geduldig warten.

Testlauf: erfolgreich, Memory usage: 44MB (peak: 54.77MB), time: 3.07s
Pakete aktualisieren: erfolgreich, Memory usage: 44.78MB (peak: 59.46MB), time: 9.86s

Die Installation läuft zügig und ohne Unterbrechungen durch.

Bisher habe ich die Pakete einzeln installiert und für jeden weiteren Test wieder deinstalliert. Jetzt mache ich mal ein etwas größeres Update mit mehreren Erweiterungen und dazu noch alle auf ein mal!

Testlauf: erfolgreich, Memory usage: 96.18MB (peak: 160.59MB), time: 14.95s
Pakete aktualisieren: erfolgreich, Memory usage: 99.35MB (peak: 165.07MB), time: 262.91s

Abgesehen davon, dass sich die COD und Theme+ scheinbar nicht vertragen, läuft sonst alles.
Aber auch hier gilt, man muss bei der Installation Geduldig sein.

Trotz externer IP des Datenbankservers (kenne ich eigentlich nur von Strato) läuft Contao erstaunlich zügig, man merkt die externe Datenbankanbindung gar nicht (im Gegensatz zu Strato *scnr*).

Die Installation großer Erweiterungen wie MetaModels und Avisota 2 ist durchaus möglich, wenn man vorher auf den Detached Mode wechselt. Allerdings sollte man bedenken, dass diese Giganten auch im Betrieb einige Ressourcen benötigen. Man sollte also nicht davon ausgehen, dass diese Erweiterungen dann auch auf dem Standard M Paket flüssig laufen.

Aber wenn man mal ganz ehrlich ist, auch die Expert Pakete sind für jedermann bezahlbar. Wenn man also mal mehr vor hat, kann man hier ohne große Löcher in seine Brieftasche zu reißen auch noch mal upgraden.

WER ist betroffen?

Grundsätzlich sind alle 2.x, 3.x und 4.x Versionen betroffen. Erweiterungen sind nicht direkt betroffen, wenn diese zur Verarbeitung von Nutzerdaten (aus Formularen o.ä.) auf die Contao Funktionen zurückgreifen. Erweiterungen, die an den Contao Funktionen vorbei arbeiten, müssen ggfs. geprüft werden.

WAS lässt sich angreifen?

Angreifen lässt sich prinzipiell jede Installation. Besonders angreifbar sind Websites mit Eingabemasken. Unsere Empfehlung: Fixt zuerst Installationen, die über eine Suche oder ein Kontaktformular verfügen und danach den Rest.

Unter Contao 3.x/4.x lassen sich die Contao Benutzer und Website Besucher mit XSS Attacken angreifen.

Contao 2.x lässt sich nicht mit XSS angreifen, ein Update ist trotzdem empfohlen.

Die Contao 2.x/3.x/4.x Installation selbst (auf PHP oder Datenbankebene Ebene) und der Server ist NICHT angreifbar.

WIE kann ich dieses Problem beheben?

Mit der Installation/einem Update von/auf Contao 3.3.7 bzw. 3.2.16 gibt es bei den Contao Core-Funktionen aktuell keine bekannte Angriffsfläche mehr. ACHTUNG: Extensions von Drittanbietern könnten eventuell betroffen sein und somit Eure gesamte Contao-Installation gefährden. Dies kann man aber nur im individuellen Fall entscheiden. Bitte kontaktiert ggfs. Eure Extension-Entwickler, um dies zu entscheiden.

Damit Ihr nun nicht Eure kompletten Websites auf die jeweils aktuellsten Contao-Versionen updaten müsst, stellen wir Euch nachfolgend verschiedene Patchpakete für verschiedene Contao-Versionen zur Verfügung. Dazu müsst Ihr Euch einfach das passende Paket herunterladen und dann die jeweiligen Dateien auf Eurer Website ersetzen.

Wir stellen Euch nachfolgend verschiedene Patch-Pakete zur Verfügung. Diese gelten ausschließlich für die jüngste Version aus den jeweiligen Minor-Zweigen 3.0 und 3.1. Solltet Ihr noch nicht auf der jeweils jüngsten Version sein, ist ein Update unumgänglich.

Die benötigten Patch-Pakete erhaltet ihr hier.

Die Benutzung dieser Bugfix-Versionen geschieht auf eigene Gefahr. Sie wurden von uns getestet und geprüft. Aber es kann immer sein, das sich ein Fehler eingeschlichen hat. Deswegen wird (wie immer) angeraten, ein Backup der Installation vor dem Einspielen vorzunehmen.

Bitte beachtet weiterhin, dass dies inoffizielle Patch-Files sind und somit vom Contao Core Team nicht supported werden!

Security-Newsletter

Da es in der Vergangenheit den ein oder anderen Wunsch gegeben hat, sehr schnell über Sicherheitslücken in Contao informiert zu werden, haben wir uns dem ganzen angenommen. In Zukunft werden wir euch über den Security-Newsletter informieren, falls es nötig ist, dass ihr eure Contao Installationen updatet oder mit einem Patch versorgen solltet.

Unsere Empfehlung

Schlussendlich konnten wir uns auf folgende Aussage einigen:

Die Contao Entwickler empfehlen bei zukünftigen Projekten auf die PSR Standards zu setzen. In Punkto Coding Style sind hier speziell PSR-1 und PSR-2 gemeint. Ältere Projekte sollten je nach Bedarf migriert werden. Ziel sollte es sein, das in einem mittelfristigen Zeitrahmen die PSR Standards vollständig eingeführt wurden.

Aufnahme zum Nachhören

Wir haben dieses Treffen das erste Mal aufgenommen. Es ist sozusagen unsere Premiere, dass wir eine derartige Diskussion für die Nachwelt festhalten. Im Laufe der Diskussion ist uns aber aufgefallen, dass die Aufnahme alleine keinen Sinn macht, da wir zusätzlich viel im Pad mitgeschrieben haben, was für die Diskussion relevant war.

Für diese Aufnahme ist es am besten, wenn man sich den Zeitstrahl für das Pad ansieht und über die Play Funktion die Änderungen abspielen lässt. Aber Achtung: Das Abspielen des Pads geschieht nicht in Echtzeit, sondern von Revision zu Revision, d.h. längere Pausen werden einfach übersprungen. Wer also das Pad neben der Audio Aufnahme abspielt muss vermutlich regelmäßig im Pad auf Pause drücken.

Sollten wir dies wiederholen und zukünftige Diskussionen aufnehmen, werden wir an einem System zusätzlich eine Video Aufnahme machen, damit es für die Nachwelt einfacher ist, die Diskussion nachzuvollziehen.

Code-Style-Definition für die IDE

Hinweis: Die meisten Entwickler sind mittlerweile bei der IDE PhpStorm gelandet. Wer eine andere IDE verwendet und für diese eine Code-Style-Definition fertiggestellt hat, sei hiermit eingeladen, uns diese zukommen zu lassen, damit wir sie hier verlinken können.

Obwohl viele IDEs eine integrierte Code-Style-Definition für PSR-1/PSR-2 anbieten, haben wir noch ein paar kleine Änderungen im Rahmen dieser Standards definiert, die die Lesbarkeit erhöhen.

Build Scripte für "continuous integration"

Wir versuchen momentan eine Kollektion an Scripten und Tasks für continuous integration zu definieren. Dazu gehören nicht nur eine Menge von Tasks, sondern auch eine Menge von Prüfungen, welche die Code Qualität weiter verbessern sollen.

Zu diesen Prüfungen gehört abgesehen von der Code Style Prüfung bspw. auch Code Integrity Prüfungen - das könnte bspw. Prüfung auf ungenutzte Methodenparameter sein. Oder Prüfung der NPath and Cyclomantic Complexity mit dem Mess Detector.

Weitere Prüfungen die sich bereits in unserem Set wieder gefunden haben sind composer.json Validierung (php composer.phar validate), Composer Branch-Alias Prüfung und PHP Syntax Prüfung (PHP lint).

Das ANT Script mit allen Tasks und weiteren Tools kann man in unserem contao-community-alliance/build-system Repository finden. Wie Ihr das ganze verwendet, ist in der README beschrieben.

Abschließend möchten wir noch Ankündigen, dass wir 2 neue Calls planen.

Ein Call wird sich mit dem Thema CSS/SCSS/LESS Code Style and Convention beschäftigen. Dieser Call richtet sich vorwiegend an Frontend'ler und Web-Worker und wird Federführend von Marc und Nicky organisiert.

Der andere Call beschäftigt sich mit dem vorher genannten Thema continuous integration. Hier sind wieder die Entwickler gefragt. Gemeinsam wollen wir die Prüfungen im Detail besprechen und auch ausarbeiten.

Termine werden wir wieder rechtzeitig über unsere Kanäle bekannt geben.

Dazu Falko Timme, Geschäftsführer von Timme Hosting:

Contao ist ein sehr schönes CMS, das unseren Hosting-Kunden unter nginx sehr viel Freude bereitet. Darum freuen wir uns als Contao-Premium-Partner natürlich sehr, wenn wir das Contao-Netzwerk und die CCA mit unserem Mumble-Server unterstützen können - hoffentlich kann er einen kleinen Teil zur weiteren Entwicklung von Contao beitragen.

Abschließend können wir also nur noch sagen:

Vielen, vielen Dank für die Unterstützung!

Composer Projekt

Auch zum Composer Projekt gibt es ein wenig zu berichten. Im Contao Wiki haben wir angefangen die vorhandene Dokumentation neu zu strukturieren und weitere Dokumentation hinzuzufügen. Es ist noch lange nicht auf dem Stand den wir uns wünschen würden, aber wir arbeiten daran.

Gegen Anfang September haben wir ein Planungstreffen zum Composer Projekt geplant (Termin steht noch nicht 100% fest). Daran werden Mitglieder der CA, der CCA und weitere Community Mitglieder teilnehmen. Ziel soll es sein, die Richtung der Entwicklung festzulegen und die bereits im März festgestellten Probleme zu Lösen bzw. Lösungswege festzulegen.

Nutzerstatistik

Aufgrund der verstärkten Nachfrage auf dem Contao Austria Day 2014 haben wir angefangen ein System zur Erfassung anonymer Nutzerstatistiken zu entwickeln. Folgende Fragen möchten wir dabei beantworten:

• Wie viele Contao Installation gibt es da draußen?
• Wie oft wurde welche Erweiterung installiert?
• Welche Versionen von Contao / Erweiterungen werden genutzt?

Die Erfassung der Daten erfolgt anonym nach dem Vorbild des Debian Popularity Contest.

This site publishes the statistics gathered from report sent by users of the popularity-contest package. This package sends every week the list of packages installed and the access time of relevant files to the server via email.

Ähnlich arbeitet unser Client, dieser sendet die verwendete Contao Version, so wie eine Liste der installierten Erweiterungen und ihrer Versionen (kommerzielle Pakete werden ignoriert) an unseren Server den wir unter statistic.c-c-a.org betreiben. Aktuell gibt es noch keine grafische Auswertung der Daten, diese ist aber in Arbeit und wird demnächst unter c-c-a.org/statistik veröffentlicht.

Wie wir die Nutzerschaft später dazu bewegen, an der Erfassung teilzunehmen steht noch nicht ganz fest. Klar ist jedoch, dass die Teilnahme optional sein wird. Aktuell testen wir das System mit Installationen, die von den CCA Mitgliedern betreut werden. Wir informieren euch darüber, wenn es hier Neuigkeiten gibt.

Alles ist da noch nicht festgelegt und maches wird sich auch erst mit der Zeit und den Treffen ergeben. Ein paar grundsätzliche Dinge wurden aber schon festgelegt:

Welche Themen konkret besprochen werden, wird sich mit der Zeit herauskristallisieren. Einerseits ist es dafür gedacht, dass die Commuity ganz offen Fragen zur Entwicklung von Contao stellen kann; Grundsatzdiskusionen sind genau so möglich, wie spezielle Fragen zu einzelnen Dingen. Andererseits kann sich so die Core-Entwicklungs-Arbeitsgruppe Anregungen zu spezifischen Fragen von außen holen.

Composer Check

Der Composer Check hat seit der letzten Versammlung einige Fortschritte gemacht. Mit dem Check lässt sich prüfen, ob der Contao Composer Client auf dem eigenen Hosting verwendet werden kann. Die Prüfungen werden auch in den Contao Check übernommen, dann kann man nicht nur die Contao Kompatibilität, sondern auch gleich die Composer Kompatibilität prüfen.

Security Mailingliste

Wie einige sicher schon mitbekommen haben, haben wir auf unserer Security Mailingliste aufgeräumt. Die Liste der Mitglieder wurde reduziert und veröffentlicht. Wie Ihr euch über auftretende Sicherheitsprobleme informieren könnt, haben wir auch diskutiert. Wir werden euch informieren, sobald sich da was getan hat.

Contao Standards Recommendations

Bisher haben wir uns noch schwer getan, die ersten CSRs zu erstellen. Es gibt zwar bereits ein github Repository und auch unsere Standards Mailingliste, bisher war dort aber noch nicht so viel los. Wir haben uns darauf verständig, in den nächsten Wochen in "kleinen Etappen" die ersten CSRs zu erarbeiten. Ihr seid herzlichst dazu eingeladen, mit uns zu diskutieren.

Öffentliche Versammlung

Bisher waren alle Versammlungen geschlossen, d.h. nur den Mitgliedern der CCA vorbehalten. Zukünftig werden wir einige Themen auch öffentlich Diskutieren, d.h. jeder Interessierte darf zuhören. Bis zur ersten öffentlichen Versammlung werden wir noch eine kleine Anleitung und einen "Verhaltenskodex" veröffentlichen. Wenn es soweit ist, werden wir euch rechtzeitig informieren und einladen.

Natürlich werden wir euch sofort informieren, wenn wir mehr Informationen zu dieser Sicherheitslücke haben.

Protokoll

Versammlungsleitung: Tristan Lins
Protokollant: Marc Reimann

Was steht alles auf dem Plan, was wir machen wollen?

Unterteilt sind unsere aktuellen Ziele in kurz-, mittel- und langfristige Ziele. Der Stand wird beim nächsten Treffen überprüft und falls nötig neu festgelegt.

Kurzfristige Ziele

• kompletter Umzug der CCA-Sourcen nach Uberspace (Website/Mumble Server)
• Composer Projekt
  • Fertigstellung Composer-Check
  • Übersetzungen erstellen (Übertragung zu Transifex)

Mittelfristige Ziele

• Composer Projekt:
  • Composer soll komplett eigenständig lauffähig sein (unabhängig vom Backend, ähnlich wie das Installtool)
  • Redesign der Composer GUI
• Umzug unserer Mailinglisten zu Uberspace
• Umzug des Legacy-Packagist zu Uberspace
• automatisierte Anzeige der Contao-Module inkl. Suchfunktion (ähnlich aktuelles Extension Repository oder Ceris)
• Redesign Contao-Wiki (ist eigentlich schon seit Jahren geplant und soll jetzt endlich mal angegangen werden)
• Anzeige anwesende Mumble-Kontakte auf der CCA-Website (für Fragen, Anregungen oder einfach nur zum Quatschen)

Langfristige Ziele

• Dokumentationen für unsere Projekte
• Unterstützung für kommerzielle Extensions auf Composer

CCA Treffen

Wir haben uns darauf verständigt, dass wir uns einmal im Monat treffen möchten, um gemeinsam zu besprechen, wie es mit der CCA und den Projekten weiter gehen soll.

Bitte habt Verständnis, dass wir diese Treffen nicht öffentlich abhalten werden. Es geht dort nicht nur gerne mal heiß her, sondern wir sprechen auch über sensible Informationen, die nicht unbedingt für die Öffentlichkeit bestimmt sind.

Natürlich werden wir - wie dieses Mal - euch zeitnah informieren, was das Ziel dieser Besprechungen war.

Composer Generator

Aktuell arbeiten wir an einem Composer Generator, damit es für Erweiterungs-Entwickler einfacher wird, eine Erweiterung für Composer zur Verfügung zu stellen. Ziel ist es, dass es für alle einfacher mit den Erweiterungen wird und dass wir so schnell wie möglich komplett umswitchen können.

Also seid gespannt, was da noch so kommt. Neue Informationen hierzu folgen noch!

Die Security Mailingliste

Wir haben ja aus gegebenem Anlass eine Security Mailingliste ins Leben gerufen. Es haben sich einige Leute gemeldet, die an dieser Liste teilnehmen woll(t)en. Wir haben uns allerdings noch einmal entschlossen, dass wir nicht alle in dieser Liste aufnehmen wollen und können. Die Gründe sind ganz einfach: diese Liste dient zur Lösungsfindung von aktuellen Security Problemen. Informationen zu Sicherheitslücken und zu vorhandenen Patches sollen weiterhin über contao.org selbst erfolgen. Deswegen wird diese Liste wirklich nur für ein paar spezielle Leute sein, die sich auch mit dieser Thematik auskennen und die wir in der Community gut kennen. Seit also nicht sauer, wenn ihr nicht aufgenommen werdet. Wir machen das unter anderem auch zum Schutz von uns allen. Der Informationsfluss soll weiterhin die offiziellen Kanäle nehmen und nicht weiter auseinander gerissen werden.

Zum Schluss haben wir auch unter den schon vorhandenen Mitgliedern etwas aufgeräumt und ein paar Leute rausgeschmissen. Auch Mitglieder des CCA-Marketings sind nicht mehr Teil der Mailingliste.

Weiteres

Internas gab es natürlich auch einige ... allerdings haben wir uns entschlossen, die auch erst einmal intern zu lassen und euch zu informieren, wenn es spannend wird oder es überhaupt etwas darüber zu berichten gibt. Ein paar kleine Geheimnisse wollen wir dann doch noch für uns behalten, um euch zu überraschen.

Wie oben schon erwähnt, könnt ihr uns auch gerne Vorschläge machen, was wir uns mal näher anschauen sollten. Falls es allerdings um Probleme oder Wünsche von Projekten von uns geht, dann bitten wir euch, das Ticketsystem fleißig zu nutzen!

Bei beiden Diensten wurden alle registrierten User gelöscht, es besteht keine Sorge bezüglich der eigenen Accounts oder eventuell hinterlegten persönlichen Daten. Die zwei Websites wurden mitsamt aller Daten unwiderruflich gelöscht.

Und falls sich jemand bei Stefan bedanken möchte, ihr findet ihn im Forum unter dem Username lindesbs. Auch ein Twitteraccount und eine Wunschliste sind verfügbar.

Aufruf an Entwickler

Doch zu Anfang möchten wir Entwickler und Interessierte ganz besonders auf unsere zwei Mailinglisten aufmerksam machen.

In unserer Contao Community Developers Mailingliste diskutieren wir über die Erweiterung und Weiterentwicklung von Contao. Man kann diese als Ersatz, für die Mitte 2013 eingestellte, offizielle Contao Mailingliste betrachten. Nachtrag: Die offizielle Contao Mailingliste besteht weiterhin. Wir waren hier falsch informiert, vermutlich weil mal die Diskussion im Raum stand, diese Liste zu schließen, wozu es aber nicht gekommen ist.

In unserer Contao Standard Proposal Mailinglist diskutieren wir über Standardsempfehlungen - sogenannte Contao Standards Recommendations (CSR) - in, um und für Contao. Die CSR sind so was wie ein Contao Pendant zu den PHP Standards Recommendations (PSR) die von der PHP Framework Interoperability Group entwickelt werden.

Unsere Mailinglisten werden nicht moderiert, dafür aber archiviert. Jede Meinung ist willkommen. Noch hat sich auf den Mailinglisten nicht viel getan, denn zuerst einmal brauchen wir Leute aus der Community, die mit uns arbeiten und diskutieren wollen.

Wenn Ihr noch weitere interessante Kanäle kennt, die uns entgangen sind, dann schreibt uns doch bitte einen Kommentar. Wir werden die Liste dann ergänzen.

Diese Liste ist nicht öffentlich, ihr könnt aber Nachrichten an diese Adresse schicken. Wenn du ein bekanntes Mitglied bekannter Entwickler der Contao Community bist und dich für mit Software-Sicherheit interessierst auskennst, kannst du auch eine Subscription beantragen. Alle Subscriptions werden von uns geprüft und dann freigegeben.

Hinweis: Verwende für deine Subscription ausschließlich eine persönliche E-Mail-Adresse und keine allgemeine info@ oder ähnliches. Auch wenn du momentan vielleicht alleine das Postfach abrufst, kann sich dass in wenigen Tagen, Monaten oder Jahren ändern und dann ist die Vertrauenswürdigkeit deiner E-Mail-Adresse nicht mehr sichergestellt.

Der vorletzte Satz war zuvor etwas "lasch" ausgedrückt und wurde geändert, nach dem wir auch einige Anfragen erhalten haben von Leuten, die sich einfach nur informieren wollen. Bitte beachtet, dass auf der Security Mailingliste teilweise höchst sensible Informationen verbreitet werden, die nicht für die Öffentlichkeit bestimmt sind. Auch handelt es sich nicht um eine Mailingliste um sich über aktuelle Sicherheitsprobleme zu informieren. Auf der Mailingliste werden potentielle Sicherheitsprobleme analysiert, diskutiert und Lösungen entwickelt, die zur allgemeinen Sicherheit nicht öffentlich diskutiert werden können!

Mehr Informationen findet ihr in diesem neuen Newsartikel.

Falls ihr Informationen haben wollt, wenn es eine Sicherheitslücke in Contao gibt, könnt ihr einfach unseren Security-Newsletter abonnieren.

Aktuelle Abonnenten der Security Mailingliste

Hier siehst du, wer aktuell mitliest.

Stand: 03.04.2014

Warum?

Dank eines professionellen Sicherheitstester und durch bekannte Entwickler aus der Community wurde dem Contao-Team die Sicherheitslücke mitgeteilt und nicht durch unseriöse Quellen, die diese vielleicht ausgenutzt hätten. Auf Grund der schnellen Reaktionszeit und der Bereitstellung der Patches sind wir alle von größeren Problemen verschont geblieben. Und trotz der vielen Updates - schlussendlich geht es hier um die Sicherheit eurer Websites.

Aufgrund der schwerwiegenden Sicherheitslücke wurde in den letzten zwei Tagen und Nächten nach einer Lösung gesucht und ein entsprechender Bugfix veröffentlicht (Ankündigung auf contao.org). Leider wurde dann aber ein weiterer Weg gefunden, diesen Fix zu umgehen und erneut Schadcode ausführen zu lassen.

Problemlösung?

Damit auch weiterhin so viele Contao Installationen wie möglich abgesichert werden können, stellen wir als CCA (Contao Community Alliance) euch wieder Backport-Pakete bereit. So könnt ihr einfach und schnell die Patch-Files auch in den verschiedensten Contao-Versionen installieren.

Wir hoffen, dass es nun die vorerst letzten Patch-Files zu diesem Problem sein werden.

Aufgrund der schwere der Sicherheitslücke haben wir eine extra Unterseite eingerichtet auf der wir euch fortlaufend mit den neuesten Updates versorgen werden. Verlinkt diese Seite, wenn es um das Thema geht, und schickt sie an befreundete Contao-Nutzer. Je mehr Contao-Nutzer informiert sind, desto sicherer werden auch wieder alle Contao-Installationen!

Soeben wurden die Contao-Versionen 3.2.6 und 2.11.15 veröffentlicht. Die Bugfix-Releases beheben eine weitere Sicherheitslücke im Zusammenhang mit der PHP-Object-Injection-Schwachstelle, die sich im Contao-Backend auch in der Version 3.2.5 und 2.11.14 noch ausnutzen ließ (Ankündigung auf contao.org).

Die deserialize() Funktion wurde gegen weitere Angriffsmöglichkeiten gehärtet und die Filter der Input-Klasse verbessert. Somit sind das Frontend und auch das Backend, sowie Drittanbieter-Erweiterungen potientiell nicht mehr gefährdet.

Auch wenn bereits die bisherigen Patches eingespielt wurden, empfehlen wir dieses Update durchzuführen, da die bestehenden Patches als Hotfix anzusehen sind und nur die akuten Probleme im Frontend behoben wurden. Wir werden versuchen, aktualisierte Patch-Sets umgehend zur Verfügung zu stellen.

Es gibt keine Sicherheit, nur verschiedene Grade der Unsicherheit.
Anton Neuhäusler

Das mussten wir nun leider schmerzlich feststellen, denn wie jetzt bekannt wurde, gibt es eine kritische Sicherheitslücke in Contao (Ankündigung auf contao.org), welche es ermöglicht durch PHP-Object-Injection "beliebigen PHP-Code auf dem Server auszuführen (Arbitrary Code Execution)". Um diese Lücke zu schließen, wurden die Updates 3.2.5 und 2.11.14 zur Verfügung gestellt. Unsere bisherigen Tests haben auch gezeigt, dass die Sicherheitslücke damit auch behoben ist und somit nicht mehr ausgenutzt werden kann.

Wer/was ist betroffen?

Nach aktuellem Wissenstand sind wirklich ALLE Contao-Versionen betroffen, außer natürlich die Versionen 3.2.5 und 2.11.14. Des weiteren sind alle Dritterweiterungen, die die Funktion deserialize() benutzen, potentiell ebenfalls betroffen und sollten umgehend geprüft und gepatched werden.

Wie kann ich dieses Problem beheben?

Mit der Installation/einem Update von/auf Contao 3.2.5 bzw. 2.11.14 gibt es bei den Contao Core-Funktionen aktuell keine bekannte Angriffsfläche mehr. ABER: Extensions von Drittanbietern sind davon unberührt und gefährden potentiell weiterhin die gesamte Contao-Installation.

Damit Ihr nun nicht Eure kompletten Websites auf die jeweils aktuellsten Contao-Versionen updaten müsst, stellen wir Euch nachfolgend verschiedene Patchpakete für verschiedene Contao-Versionen zur Verfügung. Dazu müsst Ihr Euch einfach das passende Paket herunterladen und dann die jeweiligen Dateien auf Eurer Website ersetzen.

Wir stellen Euch nachfolgend verschiedene Patch-Pakete zur Verfügung. Diese gelten ausschließlich für die jüngste Version aus den jeweiligen Minor-Zweigen von 2.6 bis 3.2. Solltet Ihr noch nicht auf der jeweils jüngsten Version sein, ist ein Update unumgänglich.

Anwendungsbeispiele:

Fall 1: Wenn Ihr Contao 2.10.3 habt, dann solltet Ihr die Komplettinstallation von uns nehmen und damit direkt ein Update auf Contao 2.10.4 durchführen.

Fall 2: Ihr habt bereits die Version 2.10.4, dann müsst Ihr lediglich die jeweiligen Patch-Files per FTP in Eure Contao-Installation kopieren.

Die Benutzung dieser Bugfix-Versionen geschieht auf eigene Gefahr. Sie wurden von uns getestet und geprüft. Aber es kann immer sein, das sich ein Fehler eingeschlichen hat. Deswegen wird (wie immer) angeraten, ein Backup der Installation vor dem Einspielen vorzunehmen.

Bitte beachtet weiterhin, dass dies inoffizielle Patch-Files sind und somit vom Contao Core Team nicht supported werden!

Das Problem an sich besteht in der Methode unserialize() und deren Contao Pendant deserialize() in Verbindung mit POST-Daten (und logischerweise auch GET). Die Input Klasse filtert diese zwar, jedoch kann man besonders formatierte Strings versenden, welche Schadcode beinhalten.

Man muss in seiner Erweiterung prüfen, ob die Verwendung von deserialize() unbedingt notwendig ist, was jedoch in 99% der Fälle nicht zutreffen wird.

Sollte es dennoch der Fall sein, muss man seine Erweiterung dahingehend umbauen, dass dies nicht mehr der Fall ist - Ja, das ist unser Ernst, ganz ehrlich, KEIN Scherz!

Der Contao Nordtag fing für manche bereits am Freitag beim Come Together an und ich persönlich kann es für die Zukunft jedem ans Herz legen bereits ein Tag früher zu kommen. Gerade für neue Gesichter wird es so noch leichter ins Gespräch zu kommen und Themen ein Tag später bei der Veranstaltung wieder aufzunehmen.

Der offizielle Start des Contao Nordtags war dann am Samstag, um 11:00 Uhr. Nach der Begrüßung durch Joe Ray Gregory und Nils Müller ging es dann gleich weiter in den ersten Workshop oder in die erste Session. Je nach Wahl des Besuchers.

Neben den unterhaltsamen Vorträgen von Thomas Weitzel und Peter Müller, gab es auch harte Kost in Form des Themas "PHP Design Patterns". Es war also für jeden was dabei. Besonders hervorheben möchte ich an dieser Stelle aber die angeregte Diskussion von Harry Boldt zum Thema "Qualitätssicherung und Zertifizierung". Ein Thema, dem wir uns innerhalb der CCA schon länger verschrieben haben. Wir möchten nichts vorweg nehmen, aber die Contao Community wird sich in Zukunft stärker mit diesem Thema auseinander setzen müssen und sich dadurch professionalisieren. Wir freuen uns auf diese Entwicklung und werden sie aktiv begleiten!

Unser Fazit

Dank der Mischung aus Konferenz und Camp eignet sich der Nordtag für alle Leute, die mal vorbeischauen und in ein Contao Event reinschnuppern wollen. Die Vorträge sind fest eingeplant, man weiß also in etwa worauf man sich einlässt. Und doch wird man nicht von der Menge der unbekannten Gesichter erschlagen, wie es einem neuen Contao User schnell ergehen kann wenn man das erste Mal eine Konferenz besucht.

Wer in diesem Jahr nicht dabei sein konnte, dem empfehlen wir den Contao Nordtag 2015. Danke an dieser Stelle auch an die Veranstalter für ihren Einsatz und den gelungenen Ablauf. Wir haben uns sowohl als Besucher, wie auch als Referenten sehr wohl gefühlt und besuchen euch in Hamburg gerne wieder.

Leiden waren die Karten schon nach wenigen Stunden ausverkauft (für die Veranstalter freuen wir uns aber natürlich) und so können wir hiermit nicht mehr zum Kauf der Karten aufrufen. Wir möchten aber alle Teilnehmer ermutigen uns als Mitglieder anzusprechen und zu aktuellen Themen/Extensions/Projekten auszufragen.

Man sieht sich auf dem Contao Nordtag, am 01. Februar 2014.